Manipulation et diffusion
Particuliers et entreprisesFausse vérification et commande piégée
ClickFix
Une fausse réparation vous invite à exécuter vous-même une commande.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une page affirme qu’une vidéo ne peut pas s’afficher ou qu’une vérification anti-robot est nécessaire. Elle propose de copier une commande, d’ouvrir une fenêtre système puis de la coller. Les étapes sont présentées comme une réparation simple. En les suivant, vous exécutez une instruction choisie par l’attaquant.
Comment cela fonctionne
ClickFix vous pousse à exécuter vous-même une commande dangereuse, sous prétexte de réparer une panne, de passer un CAPTCHA ou d’installer une mise à jour. Copier la commande vous-même ne la rend pas fiable. Un contrôle anti-robot normal ne vous demande pas d’ouvrir un terminal ou la fenêtre d’exécution de votre système.
- Une fausse panne apparaît
La page propose une réparation.
- Vous copiez une instruction
La commande paraît être une étape normale.
- Le système l’exécute
L’action sort du cadre de la page web.
Les signes qui doivent attirer l’attention
- Une page demande d’ouvrir un terminal, PowerShell ou une fenêtre d’exécution.
- Une commande est copiée dans le presse-papiers sous un autre prétexte.
- L’opération exige de contourner une alerte ou d’accorder des permissions.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Une vérification anti-robot ne nécessite pas de coller une commande dans le système. Fermez la page ; si vous avez exécuté la commande, contactez votre assistance sans la relancer.
Si vous êtes responsable du service ou de l’organisation
Expliquez cette consigne aux équipes avec une capture inoffensive. Le support doit pouvoir recueillir l’heure et les étapes suivies sans faire réexécuter la commande.
Même exécutée volontairement, une commande peut installer un programme malveillant. La lancer vous-même ne garantit pas qu’elle soit sans danger.
À vous de décider
La page dit de coller une commande pour prouver que vous êtes humain. Quel est le piège ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Vous lancez la commande sur votre propre appareil, avec vos droits. L’avoir copiée et saisie vous-même ne vous protège pas contre ce qu’elle peut faire.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Une page persuade l’utilisateur de lancer lui-même une commande
La page invoque une erreur, une vérification de connexion ou un contrôle à terminer. Elle demande ensuite de copier du texte et de l’exécuter dans un outil du système. C’est la personne qui fait passer l’instruction de la page web à l’appareil et déclenche son exécution locale.
Dans les traces, le processus de commande descend d’Explorer, puis lance un autre programme. Ce parent ne disculpe pas la page : l’utilisateur peut avoir ouvert lui-même la boîte Exécuter. Il faut relier l’historique du navigateur, les horaires et les événements de processus. Le contenu du presse-papiers n’est pas toujours conservé ; son absence dans les journaux ne permet pas d’exclure la manipulation.
L’analyse porte sur la commande effectivement exécutée et ses effets, dans un environnement adapté, sans demander à la personne de recommencer. Rechercher les fichiers déposés, accès aux profils de navigateur, tâches et connexions créés ensuite. Les protections utiles combinent restriction des exécutions dangereuses, supervision et consignes claires : un site ne devrait pas demander de lancer une commande pour prouver que l’on est humain.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Fausse vérification
Page trompeuse vers Utilisateur / bureau
Trace page conservée
- Action sur place
Copie / collage manuel
Utilisateur / bureau
Trace témoignage à qualifier
- Action
Lancement via le bureau
Utilisateur / bureau vers Shell P17
Trace parent explorer.exe
- Action sur place
Connexion réseau
Shell P17
Trace GUID P17
- Action
Création du descendant
Shell P17 vers Descendant P18
Trace ParentGuid
- Action sur place
Actions à investiguer
Descendant P18
Trace persistance et secrets
- Refus / blocage
Contrôle d’exécution testé
Utilisateur / bureau vers Shell P17
Trace programme non approuvé
Comment repérer cette attaque
Indices à rechercher
Repérer les interpréteurs lancés depuis l’interface utilisateur après une visite suspecte, puis les processus enfants et les connexions qu’ils déclenchent.
Quelles informations comparer
Relier le faux contrôle dans le navigateur au lancement constaté sur le poste, puis à l’activité réseau. Le témoignage de l’utilisateur peut préciser le geste que les logs ne montrent pas.
Ce que ces indices ne permettent pas de conclure
Un parent explorer.exe montre le contexte de lancement, pas le contenu du presse-papiers ni la preuve que l’utilisateur a collé une commande. PowerShell est aussi un outil d’administration légitime.
Comment réagir
Isoler le poste si la charge est confirmée, préserver les éléments de navigation et processus, puis traiter les effets de P18. Renforcer le contrôle d’exécution adapté au parc et expliquer explicitement qu’un CAPTCHA n’a pas besoin d’une commande système.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Vérifier sur un exercice préparé que l’équipe sait relier le signalement de la page, le lancement manuel et les processus suivants.
- Vérifier que la collecte PowerShell prévue contient effectivement les blocs de script exécutés, sans supposer qu’elle est active par défaut.
- Tester les outils d’administration légitimes après mise en place du contrôle applicatif.
À vous de raisonner
La commande a pour parent Explorer, et non le navigateur. Cela écarte-t-il le faux CAPTCHA comme point de départ ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Non : la personne peut avoir ouvert elle-même la boîte Exécuter après avoir lu la page. Rapprochez son récit, l’historique de navigation et les horaires de lancement, puis examinez les effets de la commande. Ne lui demandez pas de recommencer la manipulation suspecte.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
user_report- Geste rapporté dans le scénario, qui n’est pas un événement natif Sysmon.
parent=- Image du processus parent, normalisée dans cet exemple ; elle aide à reconstruire le lancement sans expliquer pourquoi l’utilisateur l’a effectué.
Chronologie et arbre de processus
JournalExemple synthétique ; l’absence de navigateur parent est attendue dans ce parcours.
10:02 browser visit=verification-demo.example page=fake_captcha
10:03 user_report action=pasted_instruction_into_run_dialog
10:03 process image=powershell.exe parent=explorer.exe guid=P17
10:03 process P17 arguments=[contenu collecté dans le dossier protégé]
10:04 network process=P17 destination=198.51.100.24
10:04 process image=payload.exe parent_guid=P17 guid=P18Préparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Windows — Microsoft Sysmon
- Où les trouver
- Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → Sysmon → Operational, ou leur copie dans le collecteur central.
- Quoi relever
- Chercher l’événement 1 du programme lancé : Image, ParentImage, CommandLine et ProcessGuid. Examiner les interpréteurs inhabituels lancés depuis la session utilisateur autour de la page de faux contrôle.
- Accès et prérequis
- Sysmon doit avoir été installé et configuré avant les faits. L’événement réseau 3 est désactivé par défaut ; les filtres peuvent exclure des événements. L’événement 11 décrit une création de fichier, pas sa lecture.
Microsoft Defender for Endpoint — DeviceNetworkEvents
- Où les trouver
- Portail Microsoft Defender → Advanced hunting → table DeviceNetworkEvents, pour les connexions réseau observées sur les postes intégrés.
- Quoi relever
- Relier les connexions et téléchargements au processus initiateur, puis aux processus enfants. Limiter la diffusion des lignes de commande si elles contiennent des informations privées.
- Accès et prérequis
- Vérifier la couverture du poste et la rétention. RemoteIP, RemoteUrl, RemotePort et le processus initiateur contextualisent une connexion ; ils n’en donnent pas le contenu chiffré.
Chrome DevTools — panneau Network du navigateur
- Où les trouver
- Dans une capture déjà conservée, ou sur une reproduction autorisée en environnement de test : ouvrir Network et conserver la navigation avec Preserve log. Examiner Headers et Initiator.
- Quoi relever
- Conserver l’URL et les éléments de la page ayant demandé l’action à l’utilisateur, depuis les traces existantes. Ne pas recopier ni exécuter la commande proposée pour tester le piège.
- Accès et prérequis
- La capture doit être active pendant l’observation : elle ne reconstitue pas le passé. Un export HAR peut contenir des données privées, même après retrait des en-têtes sensibles ; le nettoyer avant partage.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- CampagneTA571 et ClearFake
La fausse réparation devient le déclencheur
De faux messages d’erreur demandent à la personne d’effectuer une prétendue réparation. Proofpoint observe la méthode chez TA571 dès mars 2024, puis chez ClearFake en avril. Elle sert à livrer des logiciels malveillants et des outils de prise en main à distance.
Ce qu’établit la source. Deux ensembles d’activité distincts observés par Proofpoint. Le rapprochement porte sur la technique ClickFix et ne signifie pas qu’ils forment le même groupe.
Consulter le rapport Clipboard to Compromise: PowerShell Script Self-PwnProofpoint · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Si vous n’avez rien exécuté, fermez la page et signalez-la.
- Si la commande a été exécutée, cessez d’utiliser le poste pour les comptes sensibles et contactez le support.
- Conservez l’heure et le contenu de la commande s’ils sont déjà disponibles, sans la relancer.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Malicious Copy and Paste — attack.mitre.org
- MITRE ATT&CK — Command and Scripting Interpreter — attack.mitre.org
- CISA — Interlock et ClickFix · PDF sur ECRAN — FBI / CISA / HHS / MS-ISAC19 pages · anglais · édition : 22 juillet 2025 · Provenance et copie
- Microsoft — journalisation PowerShell — learn.microsoft.com
